AI Act & CRA : ce qui est dû en 2026, ce qui est reporté en 2027

Sept semaines

Au moment où j'écris ces lignes, trois échéances européennes tombent dans les sept prochaines semaines. Une quatrième est passée il y a plus d'un an, elle est en cours de contrôle, et c'est celle dont on parle le moins.

Aucune n'a fait la une. Toutes sont opposables.

Le problème n'est pas que les entreprises ignorent ces textes — la plupart en ont entendu parler dix fois. Le problème est qu'elles ne savent pas ce qui les concerne, à quelle date, et à quoi ressemble une preuve acceptable. Entre les reports annoncés, les reports démentis, les cabinets qui vendent de l'urgence et ceux qui vendent de la temporisation, le calendrier est devenu illisible. C'est cette illisibilité qui coûte cher, pas les textes eux-mêmes.

Ce papier est un état des lieux daté. Pas une analyse juridique : je ne suis pas avocat et Keteris ne donne jamais d'avis juridique. C'est le calendrier tel qu'un ingénieur doit le lire pour savoir quoi construire, et dans quel ordre.

---

Ce qui est dû maintenant

11 septembre 2026 — CRA : le signalement des vulnérabilités

Le Cyber Resilience Act (règlement UE 2024/2847) impose des exigences de cybersécurité à tout produit numérique commercialisé dans l'Union. Logiciels, applications SaaS, objets connectés. La confusion la plus fréquente porte sur le périmètre, alors autant la lever tout de suite : le test tient en une phrase.

Votre logiciel est-il distribué ou vendu ? Abonnement, licence, freemium, API exposée à des clients — vous êtes dedans. Seul le logiciel strictement interne y échappe.

Ce qui devient obligatoire au 11 septembre, ce n'est pas la conformité complète. C'est le signalement des vulnérabilités activement exploitées :

• premier rapport sous 24 heures,
• complément sous 72 heures,
• rapport final sous 14 jours,
• destinataires : l'ENISA et le CSIRT national.

Lisez bien le délai. Vingt-quatre heures, ce n'est pas une échéance documentaire : c'est une astreinte. Si personne n'est désigné, si personne ne sait qui rédige et qui envoie, le délai est déjà perdu au moment où l'incident survient. C'est un processus opérationnel à monter, pas une politique à rédiger.

Et c'est là que se situe l'écart réel du marché. Les études de ce printemps convergent : environ deux tiers des PME connaissent le CRA et ne savent pas le mettre en œuvre. Ce n'est pas un problème de sensibilisation. C'est un problème d'exécution technique — cartographier ses composants, brancher une chaîne de notification, produire des preuves — et l'offre sur cette couche-là est étonnamment vide.

2 août 2026 — AI Act : les sanctions sur la littératie

L'article 4 de l'AI Act (règlement UE 2024/1689) impose depuis février 2025 que toute organisation utilisant de l'IA veille à un niveau suffisant de compétence chez les personnes qui s'en servent — une obligation que le Digital Omnibus, adopté fin juin 2026, a assouplie en obligation de moyens : soutenir la littératie, non plus la garantir. L'obligation existait donc déjà. Ce qui change début août, c'est que le régime de sanctions devient applicable — non pas le plafond général de l'AI Act, mais le palier prévu pour ce manquement : jusqu'à 7,5 millions d'euros ou 1 % du chiffre d'affaires mondial.

Je préfère être direct sur ce point, parce que beaucoup de discours commerciaux s'appuient dessus : le risque immédiat d'une amende pour défaut de littératie est faible. Les autorités nationales se mettent en place, les priorités de contrôle porteront d'abord sur des cas graves, et personne ne sanctionnera une PME parce que ses commerciaux utilisent un assistant sans formation formalisée.

Ce qui est en revanche très réel, c'est ce qu'un client, un assureur ou un acheteur grand compte va vous demander dans les douze mois : montrez-moi votre registre de formation, la liste de vos systèmes d'IA, et qui en répond. La littératie est le premier document qu'on vous réclamera, parce que c'est le plus facile à réclamer.

Vendre la peur de l'amende ici serait malhonnête. Vendre la préparation d'un dossier qu'on vous demandera de toute façon, c'est autre chose.

1er septembre 2026 — Facturation électronique : la réception

Souvent absent des papiers sur la conformité numérique, parce qu'il est rangé dans la case « fiscalité ». Il concerne pourtant toutes les entreprises françaises : à partir du 1er septembre, il faut être en capacité de recevoir des factures électroniques au format structuré, via une plateforme agréée. L'obligation d'émettre suit pour les PME en 2027.

Le sujet « plateforme » est déjà couvert : environ quatre-vingts opérateurs sont agréés, et l'État a confié un rôle de relais aux experts-comptables. L'angle mort est ailleurs — dans ce qui se passe après la facture reçue. Une facture structurée est un fichier de données : elle peut être rapprochée, imputée, contrôlée et relancée automatiquement. Presque personne n'a préparé cette couche-là. C'est du travail d'automatisation, pas de conformité.

Déjà en vigueur, en cours de contrôle — l'accessibilité numérique

C'est l'échéance oubliée, et c'est probablement celle qui coûtera de l'argent en premier.

L'European Accessibility Act s'applique depuis le 28 juin 2025 à la plupart des entreprises dès 10 salariés ou 2 millions d'euros de chiffre d'affaires — sites web et applications mobiles destinés au public. En France, le référentiel technique est le RGAA : 106 critères vérifiables. Les contrôles ont commencé en janvier 2026, avec des amendes pouvant atteindre 50 000 € par service non conforme, renouvelables.

Le déséquilibre du marché est spectaculaire : l'écrasante majorité des sites n'est pas conforme, il existe beaucoup d'auditeurs capables de constater les défauts, et très peu de prestataires capables de les corriger dans le code. Les auditeurs ne développent pas ; les agences ne connaissent pas le référentiel.

Un mot sur les overlays — ces widgets vendus quelques dizaines d'euros par mois qui promettent de rendre un site accessible en un clic. Ils ne passent pas les contrôles, et leur présence est parfois retenue comme un indice de mauvaise foi. L'accessibilité réelle exige de corriger le code. Il n'y a pas de raccourci.

---

Ce qui est reporté — et pourquoi ce n'est pas une bonne nouvelle

Deux blocs importants ont été repoussés — à fin 2027 et à 2028.

Les obligations « haut risque » de l'AI Act. Les systèmes utilisés dans des domaines sensibles — recrutement, crédit, infrastructures critiques — devaient supporter des obligations lourdes plus tôt. Le Digital Omnibus, adopté définitivement par le Conseil de l'UE le 29 juin 2026, a acté ce report : les systèmes à haut risque de l'annexe III (dont recrutement et crédit) au 2 décembre 2027, ceux de l'annexe I (sécurité des produits) au 2 août 2028.

L'application complète du CRA. Sécurité dès la conception, SBOM, documentation technique, mises à jour garanties, marquage CE : le 11 décembre 2027.

Trois observations sur ces reports.

D'abord, ils sont mal compris. Un report d'obligations « haut risque » ne suspend pas les obligations générales, ni la littératie, ni la transparence. Chaque report produit une vague de « on a le temps » qui déborde très au-delà de son périmètre réel.

Ensuite, ce qui est reporté est justement ce qui prend le plus de temps. Un SBOM maintenu automatiquement dans une chaîne d'intégration, ce n'est pas un document qu'on rédige la veille : c'est un pipeline à modifier. Une documentation technique conforme à l'annexe V se construit au fil des versions. Reporter la date ne réduit pas la charge — ça réduit seulement le nombre de mois disponibles pour l'absorber.

Enfin, et c'est le point que je retiens comme principe de travail : un discours bâti sur la peur de l'amende s'effondre à chaque report. Les calendriers bougeront encore. La valeur d'un système traçable, documenté et défendable, elle, ne bouge pas — elle sert au client, à l'assureur, à l'acheteur et au régulateur indifféremment. C'est la raison pour laquelle nous vendons de la réduction de risque opérationnel, et l'amende en second.

---

Le calendrier en une page

---

Par quoi commencer si vous n'avez rien fait

Dans cet ordre. Il est délibéré : chaque étape produit une pièce qui sert aux suivantes.

1. L'inventaire, cette semaine. Quels logiciels vendez-vous ? Quels systèmes d'IA sont réellement utilisés dans l'entreprise, y compris ceux que la DSI ne connaît pas ? Quels sites et applications sont accessibles au public ? Trois listes. Sans elles, tout le reste est de la conjecture — et je n'ai jamais vu cet exercice ne pas produire au moins une surprise.

2. Le processus de signalement, avant le 11 septembre. Si vous éditez du logiciel, c'est l'échéance la plus proche et la plus opérationnelle. Détection, qualification, chaîne de notification, modèles de rapports, rôles et astreinte. Ça se monte en jours, pas en mois — mais pas la veille.

3. Le SBOM, dans la foulée. L'inventaire de vos composants, aux formats standards (SPDX ou CycloneDX), généré automatiquement dans votre chaîne d'intégration. C'est la brique la plus structurante du CRA, et elle sert aussi à votre sécurité au quotidien. Faite manuellement, elle est périmée le lendemain.

4. L'accessibilité, en parallèle. Audit RGAA du site public, puis correction du code. C'est le seul sujet de cette liste où une amende est déjà en circulation.

5. La littératie IA, quand le reste avance. Un registre des systèmes, un parcours de formation, une trace. Moins urgent qu'il n'y paraît en termes de risque de sanction, mais c'est le premier document qu'un acheteur vous demandera.

Une chose à ne pas faire : traiter ces sujets comme quatre projets distincts, avec quatre prestataires et quatre méthodes. C'est le même travail à chaque fois — inventaire, processus, documentation, preuve. Les entreprises qui l'ont compris avancent trois fois plus vite sur le deuxième règlement que sur le premier.

---

Ce qui peut encore bouger

Par honnêteté intellectuelle, et parce que c'est notre métier de le surveiller :

• Les normes techniques harmonisées du CRA sont encore en cours d'élaboration. Le règlement est stable ; la manière exacte de démontrer sa conformité continue de se préciser. Tout engagement pris aujourd'hui doit être daté et révisable.
• Le calendrier de l'AI Act vient d'être modifié par le Digital Omnibus (juin 2026). Il peut encore bouger, dans un sens comme dans l'autre — le suivre reste nécessaire.
• NIS2 reste un cas à part en France : la transposition a pris un retard considérable, mais l'ANSSI a publié son référentiel et pousse les organisations à anticiper sans attendre la loi. Si vous êtes dans les 15 000 à 18 000 entités concernées, l'attentisme est un mauvais calcul.
• La facturation électronique au Maroc suit un modèle plus strict que le français (validation par l'administration avant envoi). Le déploiement a commencé pour les grandes entreprises ; le décret d'application reste à préciser. Sujet de veille, pas encore d'action.

État vérifié au 24 juillet 2026. Un papier de conformité sans date de vérification n'a aucune valeur — celui-ci sera mis à jour, et les modifications seront signalées en bas de page.

À lire aussi — Pourquoi 88 % des pilotes IA meurent — et le protocole des 12 % : la même mécanique — inventaire, processus, documentation, preuve — appliquée aux systèmes d'IA.

---

Keteris met les logiciels et les systèmes d'IA en conformité : processus de signalement CRA, SBOM, documentation technique, inventaires AI Act, accessibilité. Nous appliquons ce parcours à nos propres produits — Le Reglo, notre plateforme de veille réglementaire, tourne en production depuis 2024.

Une échéance qui vous concerne ? Réservez un cadrage de 30 minutes — le temps de savoir dans quel périmètre vous êtes.